Adware.Gexin.23286

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) sdk.c####.g####.####.cn:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.cn:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) a.appj####.com:80
TCP(TLS/1.0) rr13---####.g####.com:443
TCP(TLS/1.0) and####.a####.go####.com:443
TCP(TLS/1.0) 64.2####.164.94:443
TCP(TLS/1.0) pla####.google####.com:443
TCP(TLS/1.0) digital####.google####.com:443
TCP(TLS/1.0) 1####.194.73.95:443
TCP(TLS/1.2) 64.2####.164.94:443
TCP(TLS/1.2) 1####.194.73.95:443
UDP 1####.194.73.95:443
TCP cm-1####.g####.com:5227
TCP sdk.o####.t####.####.net:5224

Запросы DNS:

a.appj####.com
and####.a####.go####.com
and####.google####.com
c-h####.g####.com
cdn-sdk####.g####.com
cm-1####.g####.com
digital####.google####.com
m####.go####.com
md####.google####.com
pla####.google####.com
rr13---####.g####.com
sdk-ope####.g####.com
sdk.c####.g####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
www.e####.net

Запросы HTTP GET:

cdn-sdk####.g####.com.####.cn/tdata_CoH340
cdn-sdk####.g####.com.####.cn/tdata_EDB102
cdn-sdk####.g####.com.####.cn/tdata_GKM601
cdn-sdk####.g####.com.####.cn/tdata_jFf739
cdn-sdk####.g####.com.####.cn/tdata_pKX830
sdk.c####.g####.####.cn/config/hzv9.conf
sdk.o####.p####.####.com/api/addr.htm

Запросы HTTP POST:

a.appj####.com/ad-service/ad/mark
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/90a96a21d78b
/data/data/####/Cookies-journal
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/classes.dex
/data/data/####/classes2.dex
/data/data/####/clientid_igexin.xml
/data/data/####/com.elianxinxi.app.ylzc.xml
/data/data/####/com.elianxinxi.app.ylzc.xml.bak
/data/data/####/com.elianxinxi.app.ylzc_preferences.xml
/data/data/####/com.elianxinxi.app.ylzc_storages.xml
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/libjiagu.so
/data/data/####/metrics_guid
/data/data/####/pdr.xml
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tdata_CoH340
/data/data/####/tdata_CoH340.dex
/data/data/####/tdata_CoH340.dex.flock (deleted)
/data/data/####/tdata_CoH340.jar
/data/data/####/tdata_GKM601
/data/data/####/tdata_GKM601.dex
/data/data/####/tdata_GKM601.dex.flock (deleted)
/data/data/####/tdata_GKM601.jar
/data/data/####/tdata_jFf739
/data/data/####/tdata_jFf739.dex
/data/data/####/tdata_jFf739.dex.flock (deleted)
/data/data/####/tdata_jFf739.jar
/data/data/####/tdata_pKX830
/data/data/####/tdata_pKX830.dex
/data/data/####/tdata_pKX830.dex.flock (deleted)
/data/data/####/tdata_pKX830.jar
/data/data/####/the-real-index
/data/media/####/001.png
/data/media/####/002.png
/data/media/####/003.png
/data/media/####/1.gif
/data/media/####/60x60.gif
/data/media/####/BadgeManager.js
/data/media/####/README.md
/data/media/####/Utils.js
/data/media/####/about.html
/data/media/####/about_company.html
/data/media/####/addtimeicon.gif
/data/media/####/aesdata.js
/data/media/####/ajax.js
/data/media/####/analysis.html
/data/media/####/analysisUtils.js
/data/media/####/app.css
/data/media/####/app.db
/data/media/####/app.js
/data/media/####/appUpload.js
/data/media/####/appVersionUpdate.js
/data/media/####/avatar.jpg
/data/media/####/back.png
/data/media/####/base_64_img.js
/data/media/####/base_page.html
/data/media/####/base_page_child.html
/data/media/####/bbsback.png
/data/media/####/bbsclose.png
/data/media/####/bbsrefresh.png
/data/media/####/bbsshare.png
/data/media/####/city.data-3.js
/data/media/####/city.data.js
/data/media/####/close.png
/data/media/####/com.elianxinxi.app.ylzc.bin
/data/media/####/com.elianxinxi.app.ylzc.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/common.css
/data/media/####/common.js
/data/media/####/core.js
/data/media/####/downloaddetails.html
/data/media/####/dropload.css
/data/media/####/dropload.min.js
/data/media/####/echo.min.js
/data/media/####/enc-base64.js
/data/media/####/find_check.png
/data/media/####/find_phone.png
/data/media/####/find_pwd.png
/data/media/####/findpswbg.png
/data/media/####/findpwd.html
/data/media/####/flag.png
/data/media/####/forum_new.png
/data/media/####/gkt
/data/media/####/gkt-journal
/data/media/####/gktper (deleted)
/data/media/####/grxx.png
/data/media/####/guide.html
/data/media/####/gywm.png
/data/media/####/icon.png
/data/media/####/icon_address.png
/data/media/####/icon_company.png
/data/media/####/icon_name.png
/data/media/####/iconfont.css
/data/media/####/iconfont.ttf
/data/media/####/immersed.js
/data/media/####/index-old.js
/data/media/####/index.html
/data/media/####/index.js
/data/media/####/jfxq.png
/data/media/####/jquery-1.11.0.js
/data/media/####/jquery-1.11.1.min.js
/data/media/####/jquery.json.min.js
/data/media/####/jquery.min.js
/data/media/####/laytpl.js
/data/media/####/libg.png
/data/media/####/line.png
/data/media/####/load1.gif
/data/media/####/loading.gif
/data/media/####/local_fileview.html
/data/media/####/login_register.html
/data/media/####/login_standard.html
/data/media/####/logo.png
/data/media/####/logo_s.png
/data/media/####/lrz.mobile.min.js
/data/media/####/manifest.json
/data/media/####/md5.js
/data/media/####/mui.imageViewer.js
/data/media/####/mui.js
/data/media/####/mui.lazyload.img.js
/data/media/####/mui.lazyload.js
/data/media/####/mui.min.css
/data/media/####/mui.min.js
/data/media/####/mui.picker.css
/data/media/####/mui.picker.js
/data/media/####/mui.picker.min.css
/data/media/####/mui.picker.min.js
/data/media/####/mui.poppicker.css
/data/media/####/mui.poppicker.js
/data/media/####/mui.previewimage.js
/data/media/####/mui.pullToRefresh.js
/data/media/####/mui.pullToRefresh.material.js
/data/media/####/mui.ttf
/data/media/####/mui.zoom.js
/data/media/####/mystyle.css
/data/media/####/nav_icon_news@2x.png
/data/media/####/nav_img_head@2x.png
/data/media/####/nav_img_head@3x.png
/data/media/####/new_get_info.html
/data/media/####/news.css
/data/media/####/news.html
/data/media/####/newsUtils.js
/data/media/####/newspp.css
/data/media/####/params.js
/data/media/####/personal_bg@2x.jpg
/data/media/####/personal_icon_collect@3x.png
/data/media/####/personal_icon_news@3x.png
/data/media/####/personal_icon_news_collection@3x.png
/data/media/####/personal_icon_news_set@3x.png
/data/media/####/personal_icon_password_find@3x.png
/data/media/####/personal_icon_web_notice@3x.png
/data/media/####/pinchzoom.min.js
/data/media/####/pinglun.png
/data/media/####/pl.png
/data/media/####/plus.png
/data/media/####/public_img.js
/data/media/####/qidongye.png
/data/media/####/register.html
/data/media/####/register_user_data.html
/data/media/####/require-2.1.11.js
/data/media/####/scan.png
/data/media/####/search.html
/data/media/####/search_result.html
/data/media/####/sgrbloding.png
/data/media/####/share.html
/data/media/####/share.js
/data/media/####/share.png
/data/media/####/share01.gif
/data/media/####/share02.gif
/data/media/####/share03.gif
/data/media/####/share04.gif
/data/media/####/share05.gif
/data/media/####/share06.gif
/data/media/####/style.css
/data/media/####/swiper.jquery.min.js
/data/media/####/swiper.min.css
/data/media/####/tdata_CoH340
/data/media/####/tdata_GKM601
/data/media/####/tdata_jFf739
/data/media/####/tdata_pKX830
/data/media/####/test.log (deleted)
/data/media/####/timeUtils.js
/data/media/####/timeaddplay.html
/data/media/####/timeicon01.gif
/data/media/####/timeicon01.png
/data/media/####/timeicon02.gif
/data/media/####/timeicon02.png
/data/media/####/timeicon03.gif
/data/media/####/timeicon03.png
/data/media/####/timeicon04.gif
/data/media/####/timeicon04.png
/data/media/####/timeindex.html
/data/media/####/today.png
/data/media/####/trash_user_cache.html
/data/media/####/update2016.js
/data/media/####/updatefunc.js
/data/media/####/user.html
/data/media/####/user.png
/data/media/####/user_changepwd.html
/data/media/####/user_cllection.html
/data/media/####/user_cllection_detail.html
/data/media/####/user_info.css
/data/media/####/user_info.html
/data/media/####/user_message.html
/data/media/####/user_message_detail.html
/data/media/####/user_setting.html
/data/media/####/web_notice.html
/data/media/####/web_notice_detail.html
/data/media/####/webnoticeUtils.js
/data/media/####/windows.html
/data/media/####/yhxy.png
/data/media/####/zan.png
/data/media/####/zan_full.png
/data/media/####/zhaq.png
/data/media/####/zhfw.png
/data/media/####/zi.png
/data/media/####/zssg.css
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
cat /proc/self/cgroup
chmod 755 /data/user/0/<Package>/.jiagu/libjiagu.so
mount
sh

Загружает динамические библиотеки:

libgetuiext2
libjiagu

Использует следующие алгоритмы для шифрования данных:

AES-CFB-NoPadding
AES-ECB-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней